Binance traci 6,3 mld dol. w największej kradzieży kryptowalut

Większość środków napastnicy wyprowadzili z portfeli giełdy w około 20 minut. Firmy analityczne wiążą atak z północnokoreańską grupą TraderTraitor, a punktem wejścia miał być laptop inżyniera.

W czwartek 29 października z portfeli Binance, największej giełdy kryptowalut na świecie, wyprowadzono aktywa o szacowanej wartości 6,3 mld dol. Według BleepingComputer większość transferów, prowadzonych na dziesięciu blockchainach (publicznych rejestrach transakcji kryptowalut), zajęła około 20 minut. Szacunki firm analitycznych wahają się od 5,9 do 6,36 mld dol., zależnie od momentu wyceny tokenów. Firma Elliptic ocenia, że to prawdopodobnie największa kradzież w historii.

Według wstępnego śledztwa Binance atakujący przejęli laptop inżyniera DevOps (osoby utrzymującej infrastrukturę i wdrożenia) i dotarli przez niego do wewnętrznej usługi zatwierdzającej wypłaty. W piątek giełda poinformowała o dodatkowych punktach naruszenia, a współprezes Richard Teng zaznaczył, że nie była to akcja „jednego kliknięcia”. Serwis MamStartup pisze o prywatnym laptopie, ale Binance nie potwierdziło, czy urządzenie było osobiste, czy służbowe. Binance nie znalazło dowodów na złamanie kluczy prywatnych (kodów, którymi podpisuje się transakcje), co wskazuje, że atakujący wykorzystali uprawnione ścieżki w systemach giełdy.

TRM Labs i Chainalysis wiążą atak z północnokoreańską grupą TraderTraitor, której przypisuje się kradzież 1,5 mld dol. z giełdy Bybit w lutym 2025 roku. Ani Binance, ani żaden rząd nie potwierdziły tej atrybucji.

Giełda wstrzymała wpłaty i wypłaty. Zamrożono około 2,8-3 mld dol., głównie w stablecoinach (kryptowalutach powiązanych kursem z dolarem): Tether zablokował około 1,5 mld dol., a Circle około 800 mln dol. Resztę napastnicy zamienili m.in. na ether, którego nie da się zablokować. Binance zarezerwowało ponad 6,34 mld dol. własnych środków na pokrycie strat klientów, a współprezeska Yi He zapowiedziała przywrócenie wypłat w ciągu 48 godzin od piątkowego poranka.

Eksperci ESET i Check Point zwracają uwagę, że podobne ryzyko dotyczy każdej organizacji, w której jedno konto lub urządzenie z szerokimi uprawnieniami daje dostęp do kluczowych operacji. Zalecają ograniczanie uprawnień, niezależne potwierdzanie dużych transakcji i ochronę urządzeń administratorów.